35、Cisco ASA透明防火墙部署与配置详解

Cisco ASA透明防火墙部署与配置详解

1. 防火墙MAC表老化问题及处理

防火墙的MAC表项可能在5分钟后老化。当主机在第10分钟向默认网关发送新数据包时，由于防火墙缺少该MAC表项，数据包会被丢弃。
若安全策略不允许ASA在某个接口上动态学习L2F表，可以通过以下步骤禁用学习过程：
- 导航至“Configuration > Device Management > Advanced > Bridging > MAC Learning”，选择要禁用动态MAC地址学习的接口。
- 也可以使用 mac - learn disable 命令。
禁用接口的学习过程后，需要为该接口上的主机添加静态MAC地址条目。示例命令如下：

Chicago(config)# mac - address - table static outside 0000.0c07.ac00
Chicago(config)# mac - learn outside disable

2. 部署场景

透明防火墙解决方案有两种部署场景：
- SMTF部署
- 使用安全上下文的MMTF部署

3. SMTF部署

3.1 部署背景与目标

SecureMe在纽约的远程站点使用IP和IPX作为第3层协议，希望无缝部署ASA透明防火墙，且不修改现有网络地址。其目标包括：
- 允许DNS流量查询DNS服务器。
- 允许HTTP客户端与Web服务器通信。
- 允许远程客户